Windows 2003 Group Scope

Group Scope（组范围）（1）Domain Local Group域本地组他的成员可以来源于森林中的任何一个域。包括四种：本域的域用户 账户、本域的全局组、他域的域用户账户和他域的全局组。作用范围：只能访问本域的资源，不能跨域访问。 （2）Global Group全局组他的成员只 能来源于组所在域的域用户账户。作用范围：他可以访问森林中的任何地方的资源。 （3）Universal Group 集中了上述两种组的优点成员可以 是来源于任何地方。作用范围是整个森林。 上述三种组类型，对于Mix Mode混合模式下（安全）Universal Group是不能创建的，只能在 私有模式下才能进行创建。而前两种模式无创建限制。在Native Mode下组的成员范围有所变化： Domain Local Group不仅包括本 域的域用户账户、本域的全局组、他域的域用户账户和他域的全局组。而且包括本域的Domain Local Group。 Global Group成员 不仅包括本域的域用户账户，还包括Global Group。另：对于私有混合模式见 第一章 统一的管理活动目录概述 域的模型 域的概述 二．组织用 户的原则 1．分配资源许可 AG(DL)P： l A(Account)：用户账户 l G(Global Group)：全局组 l DL （Domain Local Group）：域本地组 l P(Permission)：许可 MS推荐的是（按照AG(DL)原则）：当用户要访问一个 文件夹的时候先将该用户加入全局组再将全局组加入要访问文件夹所在域的域本地组设置域本地组对文件夹的访问许可这样用户就能访问文件夹了。按照AG (DL)P原则对用户的组织管理起来更容易。在AG(DL)P形成以后当给一个用户某一个权限的时候，只要把这个用户加入到某一个本地域组就可以了。 示 例：有一个共享文件夹Share Folder1，有很多的用户要访问，在各个域中都创建了全局组Share Folder 1 Accessing，创 建了一个共享文件夹Share Folder1所在域的域本地组Share： ->先把各个用户加到本域（用户所在域）的 Share Folder 1 Accessing中 ->再把这些Share Folder 1 Accessing加入到域本地组Share中  ->允许Share组访问共享文件夹Share Folder1 当又有一个用户进入需要访问Share Folder 1 时： ->只 要将这个加入的用户加入本地的Share Folder 1 Accessing就可以了，其它的不用操作。优点：（1）其实，也可以将新加入的用户直接 加入要访问的文件夹所在域的本地组，但这样操作起来很麻烦，当很多的用户的时候，本地域的管理员要一个个的加入，而采用AG(DL)原则只需要本地的管理 员将用户加入到本地的全局组就可以了。（2）如果按AG(DL)原则分配资源时，例如一个共享的打印机，每天晚上在进行其它非工作打印，如果按AG (DL)原则进行的分配资源，可以直接定位到那个域的Global Group上，在到这个Global Grou上定位出用户。如果是不按AG(DL) 原则分配的资源，只能在打印机上进行基于用户的定位，这样查找起来的效率比起前者就差了很多。 2．组的创建在域上右健->新组在选项中要选择：组 作用域（可选本地域和全局域）、组类型（安全式和分布式）在2000讨论一个组的时候应该把它的全称说清楚，是安全的全局组或是分发的全局组，才能准确的 描述是个怎么样组。 3．组的修改只有在私有模式（Native Mode）下才可以做组的类型（Group Type）的转变。  Group Scope的转变也是在Native Mode 下可以实现。 4．组的删除在对组进行删除操作的时候并不会删除组中的成员对象。这种删除 是不可恢复的。（因为组是有SID的是唯一的，所以在组删除的时候，一定要记得赋予组的许可） 5．组在GC中的表现对于Global Group 和 Gomain Local Group在GC中只有名字没有内容。只要不修改名字，就不会导致整个森林的复制。对于Universal Group在GC 既有名字又有内容。如果频繁修改内容也可能导致整个森林的复制。（复制的流量是相当大的）建议对Universal Group的成员作修改作很少的改变 或是不改变。如何对Universal Group的成员作修改作很少的改变：我们可以让Global Group 和 Gomain Local Group作为Universal Group的成员，这样Global Group 和 Gomain Local Group只有名字，我们修改它的成员，不会导致整个森林的复制，也实现的对Universal Group修改的要求。